JPRS、PowerDNS権威サーバーの脆弱性を告知、修正版の確認を

日本レジストリサービス(JPRS)は2026年10月23日、権威DNSサーバー「PowerDNS Authoritative Server」の脆弱性を告知しました。サービス不能(DoS)攻撃を可能にするもので、識別番号はCVE-2026-73206です。脆弱性の公開と同時に修正版も公開されており、利用企業は対象バージョンと更新先を確認する必要があります。

細工したパケットでDoS、修正版は公開済み

権威DNSサーバーは、管理するドメインのDNS情報を問い合わせに応じて返すサーバーです。今回の対象はPowerDNS Authoritative Serverで、JPRSはサービス不能攻撃につながる脆弱性として案内しています。

PowerDNSの関連セキュリティ勧告の番号は「2026-13」です。勧告名では、圧縮ポインターを使う細工したパケットがDoSの原因とされています。圧縮ポインターは、DNSのパケット内で同じ名前の記述を省略するための仕組みです。

脆弱性の公開日は2026年10月21日(中央ヨーロッパ夏時間)です。JPRSによると、修正版も同時に公開されました。JPRSの告知には、詳細を確認するためのPowerDNSの勧告とCVE情報へのリンクが掲載されています。

ただし、今回の取材資料には、影響を受ける具体的なバージョン、修正版のバージョン、攻撃が成立する詳しい条件は含まれていません。更新先を推測せず、参照先の勧告で照合することが重要です。また、実際の攻撃や被害の発生についても、今回の資料には記載がありません。脆弱性の告知と、被害が確認されたという情報は分けて扱います。

影響する会社・しない会社

• 影響する: PowerDNS Authoritative Serverを運用する会社は、今回の確認対象です。ただし、すべてのバージョンが影響を受けると判断することはできません。利用中のバージョンと勧告の対象範囲を照合してください。
• 影響する: DNSの運用を外部に委託している会社も、委託先が同製品を使っている場合は確認が必要です。委託しているという理由だけで、確認不要とは扱わないようにします。
• 影響しない: PowerDNS Authoritative Serverを利用していない環境は、今回の告知の対象ではありません。ただし、他のDNS製品の安全性まで示す告知ではありません。

会社の規模や契約プランによる対象の違いは、今回の資料には書かれていません。まず製品名を確かめ、その後にバージョンで判断する順序が適切です。

情シスが今日やること

1. 今日中に、DNSの運用担当と利用製品を確認します。 IT資産台帳やDNS運用資料で、自社管理か委託かを整理し、製品名とバージョンを記録してください。確認に使う具体的な管理画面やメニューは、今回の資料には示されていません。
2. 製品が該当したら、勧告2026-13と照合します。 JPRSの告知に掲載された参照先を開き、CVE-2026-73206の対象バージョンと修正版を確認します。確認した情報と、実際に動いているバージョンを対応付けて残してください。
3. 委託先には今日中に確認を依頼します。 PowerDNS Authoritative Serverの利用有無、利用バージョン、今回の脆弱性への該当有無、修正版の適用状況と対応予定を尋ねます。回答期限は社内で決め、未回答の案件も追跡できるようにします。
4. 該当が分かった段階で、運用責任者と更新予定を決めます。 修正版の適用方法と作業予定を確認し、関係者へ共有してください。公式な対応期限は今回の資料には書かれていないため、期限があるかのような案内は避けます。